CVE-2026-108259

Nome do Software Vulnerável e Versões Afetadas @tinacms/cli versões anteriores a 3.0.0

Description O @tinacms/cli não escapa ou codifica adequadamente os valores de branch do Git lidos de VERCEL GIT COMMIT REF, GITHUB BRANCH ou HEAD. Esses valores brutos são incorporados na URL da API e interpolados em literais de string JavaScript em packages/@tinacms/cli/src/next/codegen/index.ts e packages/@tinacms/cli/src/next/codegen/codegen/plugin.ts. Um nome de branch Git válido, porém malicioso, contendo uma aspa, pode encerrar a string gerada e injetar uma expressão JavaScript arbitrária. Essa expressão é executada com os privilégios do processo de build quando o módulo cliente gerado é importado durante um build de visualização (preview build), permitindo potencialmente que um invasor leia credenciais de ambiente, modifique artefatos de implantação ou realize requisições de rede.

Recommendations Atualize o @tinacms/cli para a versão 3.0.0.